要弄清楚新加坡用户应该信赖哪些加密即时通讯应用（secure messaging apps），先得明白在这个语境里，「安全」究竟意味着什么。我们通过聊天应用发送的东西数量惊人，从随口约的计划，到银行资料、收件地址、工作讨论和家庭照片。这一切大多让人觉得是私密的，然而并非每一款通讯应用都以同等程度保护你的对话。需要把握的关键概念是端到端加密，一旦你理解了它，如何挑选并用好一款通讯应用就会清晰得多。
通讯安全无关多疑，而是要确保只有你正在交谈的那些人才能读到你所发送的内容，并确保运营这款应用的公司发生泄露、或同一网络上的攻击者，都无法悄悄把你的对话一网打尽。不同的应用在这方面做出的承诺各不相同，所以搞清楚你实际得到的是什么，很有必要。
端到端加密究竟意味着什么
加密会把你的消息打乱，只有持有正确密钥的人才能把它还原成可读的文字。关键的区别在于解密可以在哪里发生。有了端到端加密（常简称 E2EE），你的消息在你的设备上被锁住，只能在收件人的设备上被解开。中间的任何人都读不到它——无论是应用自己的服务器、你的网络服务商，还是在公共 Wi-Fi 上窥探的人。用来解锁消息的密钥只存在于对话中的那两台设备上，这正是「端到端」一词所指的含义。
与此形成对照的，是许多服务采用的「仅传输加密」。在这种方式下，你的消息在传往公司服务器的途中受到保护，但公司可以在那里把它解密，然后再转发出去。对于一份外卖订单这也许没关系，但这意味着服务商在技术上具备读取你聊天记录的能力，而且存放在它服务器上的任何内容，都可能在一次泄露中暴露，或依法定程序被交出。这两种做法并非在任何情境下都有对错，但你应当知道某款应用用的是哪一种，尤其是在涉及敏感对话时。
有些应用在每一段对话上都默认启用端到端加密，而另一些则只在你必须自己开启的某种特殊模式下才打开它，这种模式有时被称为秘密聊天或私密聊天。如果加密对你很重要，就去查看应用的设置和说明文档，而不要想当然。一个有用的判断标志，是这款应用是否允许你验证联系人（下文会讲到），因为只有在真正实现端到端加密时，那项功能才有意义。
还值得记住的是，端到端加密保护的是传输途中的消息，未必是两端设备上的消息。如果有人能解锁你的手机，那么无论加密有多强，他都能读到你的聊天记录。给应用本身加固——用设备锁，以及应用提供的任何应用内锁——与它背后的加密同等重要。
安全地使用通讯应用
选好一款应用只完成了一半。你如何使用它，才决定了你的对话到底有多安全。下表列出了最重要的那些做法以及原因。
| 做法 | 为什么重要 |
|---|---|
| 优先选择端到端加密 | 确保只有你和收件人能读到消息 |
| 验证重要联系人 | 确认你正在交谈的是真人，而非冒名者 |
| 锁定应用和你的设备 | 阻止任何能实际接触设备的人读到聊天 |
| 谨慎处理备份 | 一份未加密的云备份会让你的加密前功尽弃 |
| 绝不分享 OTP 或验证码 | 防止攻击者劫持你的账户 |
验证联系人是许多人忽视的一项功能。加密即时通讯应用通常允许你把一个安全码（有时显示为一串数字，或一个可扫描的图案）与你正在聊天的对象作比对。如果两边的码一致，你就可以确信没有人偷偷坐在你们对话的中间。这在你要分享真正敏感的内容之前最为重要，而对你最亲近的联系人，值得当面或通过另一条可信渠道来完成这项核对。
备份值得仔细斟酌，因为它是一个常见的盲点。你的聊天在传输途中或许是端到端加密的，但如果应用把它们不加密地备份到云端，那份备份就成了一个较薄弱的环节，有可能被单独获取。查看你的应用是否提供加密备份选项并把它打开，或者干脆判断一下你到底需不需要云备份。最私密的设置，往往是让备份用一个只有你自己知道的密码来加密。
最重要的那条安全准则，关乎一次性验证码，即 OTP。当你在一台新设备上设置通讯应用时，服务会发送一个验证码来确认是你本人。攻击者深知这一点，有一种流传甚广的骗局是：有人冒充朋友、快递公司或某个官方机构，要你把刚收到的验证码读出来或转发过去。把那个码交出去，就等于让他们在自己的设备上注册你的账户并将其占为己有。没有任何正规的个人或公司会需要你分享这样的验证码，所以对任何索要验证码的请求，都应当把它当作你正被盯上的明确警讯。
还有几个习惯能让良好的实践更完整。让应用保持更新，因为安全修复是通过更新送达的。即便是熟人发来的链接和附件也要谨慎，因为账户确实会被盗。查看应用的隐私设置，控制谁能看到你的头像、最后上线时间和电话号码。而如果你哪天怀疑账户被人接管了，要迅速采取行动，登出其他会话并把它夺回来。
加密通讯，并不是要你换用一款能找到的最冷门的应用。它关乎理解你所选的应用是如何保护你的对话的，正确使用它的安全功能，并对那些能绕过技术本身的社交伎俩保持警觉。把这些基本功做对，你日常的聊天就会真正私密。
延伸阅读
网络安全基础
在线保护你的数据
找回被盗账户
保护手机隐私设置
常见问题
即使聊天应用采用端到端加密，我的聊天备份还算隐私吗？ 不一定。如果应用把聊天记录未经加密就备份到云端，这份备份就成了较薄弱的环节，可能被单独访问。请确认应用是否提供加密备份选项并启用，或者想想你到底需不需要云端备份。
为什么绝对不能把聊天应用发给我的验证码告诉别人？ 因为一旦交出验证码，骗徒就能在他们自己的设备上注册你的账号并接管。常见的骗局是有人冒充朋友、快递服务或官方机构，向你索取验证码。任何正当的人或公司都不需要这个码。
怎样确认我聊天的对象确实是本人？ 使用应用的联系人验证功能，对比以数字或可扫描图案显示的安全码。如果两边一致，就表示没有人暗中夹在中间。最好当面或通过另一个可信的渠道来进行。
传输加密和端到端加密有什么区别？ 传输加密只在信息传到公司服务器的途中提供保护，公司在服务器上可以解密。端到端加密则只有对话双方的设备持有密钥。谈敏感内容时，请先确认你的应用用的是哪一种。
聊天账号被黑了该怎么办？ 要尽快登出其他设备并夺回账号。即使是熟人发来的链接和附件也要小心，因为账号确实会被盗用。事后请保持应用更新，并检查它的隐私设置。
延伸阅读： 更换通讯应用时，如何转移聊天记录 · RCS 讯息服务详解